Единая политика обработки персональных данных – удобный документ или потенциальный штраф?

<p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Многие организации стремятся сократить количество внутренних документов и задаются вопросом: можно ли подготовить одну политику обработки персональных данных, которая будет одинаково применяться к работникам, клиентам, контрагентам и посетителям сайта? На первый взгляд такое решение выглядит удобным: один документ проще согласовывать, поддерживать в актуальном состоянии и публиковать. Однако при анализе требований Федерального закона № 152‑ФЗ становится понятно, что универсальный подход может привести к нарушениям. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Разберём, почему единая политика не всегда соответствует требованиям законодательства и каким образом можно организовать документирование так, чтобы соблюсти закон и сохранить удобство сопровождения. </p> <p style="text-align: justify;"> </p> <h4 style="text-align: justify;"> Что требует законодательство </h4> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <ul class="numeric-marker-list" style="text-align: justify;"> <li>Статья 5 Федерального закона № 152‑ФЗ закрепляет принцип целевой обработки персональных данных. Для каждой цели обработки должны быть определены состав данных, правовые основания, сроки хранения и иные параметры. Обработка не должна выходить за пределы заявленных целей, а объединение данных с несовместимыми целями не допускается.</li> <li>Статья 18.1 Федерального закона № 152‑ФЗ требует, чтобы оператор определил для каждой цели обработки категории субъектов персональных данных, перечень обрабатываемых данных, правовые основания, сроки обработки и хранения, порядок уничтожения данных и иные параметры. Именно эта формулировка делает полностью универсальную политику практически невыполнимой.</li> </ul> <p style="text-align: justify;"> </p> <h4 style="text-align: justify;"> Почему разные категории субъектов нельзя описывать одинаково </h4> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Работники, клиенты и контрагенты отличаются не только статусом, но и основаниями обработки их персональных данных. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Для работников основными основаниями являются требования трудового законодательства и исполнение трудового договора. Состав данных значительно шире: паспортные сведения, СНИЛС, ИНН, сведения об образовании, воинском учёте, банковские реквизиты и другие данные, необходимые работодателю. Многие кадровые документы подлежат длительному хранению в соответствии с архивным законодательством. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Для клиентов цели обработки связаны с заключением и исполнением договора, доставкой товаров, оказанием услуг и обратной связью. Для маркетинговых коммуникаций требуется отдельное правовое основание. Обычно объём собираемых данных существенно меньше, чем при кадровом учёте. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> При взаимодействии с контрагентами и представителями юридических лиц обрабатываются сведения, необходимые для исполнения договора и делового взаимодействия. Перечень данных, сроки хранения и получатели также отличаются. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Почему универсальная политика создаёт риски</b> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <ul class="symbol-marker-list font-size-md" style="text-align: justify;"> <li><b>Разные цели обработки.</b> Общие формулировки вроде «ведение хозяйственной деятельности» не позволяют понять, какие именно процессы осуществляются в отношении каждой категории субъектов.</li> <li><b>Разные правовые основания.</b> Для работников чаще применяются нормы трудового законодательства, для клиентов – исполнение договора либо согласие, для контрагентов – договорные отношения и иные предусмотренные законом основания.</li> <li><b>Разные сроки хранения.</b> Кадровые документы, клиентские данные и документы по договорам подчиняются различным требованиям законодательства.</li> <li><b>Разный состав персональных данных.</b> Если перечислить максимальный набор сведений сразу для всех категорий субъектов, документ перестаёт отражать реальные процессы обработки.</li> <li><b>Разные получатели данных.</b> Государственные органы, банки, службы доставки и подрядчики участвуют в разных процессах обработки.</li> </ul> <p style="text-align: justify;"> </p> <h4 style="text-align: justify;"> Как написать политику правильно </h4> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Закон не требует создавать отдельную политику для каждой категории субъектов. Практичным решением может стать модульная структура документа. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> В общей части рекомендуется описать сведения об операторе, принципы обработки персональных данных, права субъектов, общие меры защиты информации, порядок рассмотрения обращений и контактные данные ответственного за организацию обработки персональных данных. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Далее целесообразно предусмотреть отдельные разделы или приложения для работников, клиентов, контрагентов, посетителей сайта и иных категорий субъектов. В каждом разделе следует определить цели обработки, правовые основания, перечень данных, получателей, сроки хранения и порядок прекращения обработки. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Типичные ошибки:</b> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <ul class="numeric-marker-list" style="text-align: justify;"> <li>использование слишком общих целей обработки</li> <li>указание только согласия как универсального основания обработки</li> <li>включение максимального перечня персональных данных для всех категорий субъектов</li> <li>установление единого срока хранения независимо от категории данных</li> <li>отсутствие описания прав субъектов персональных данных и порядка реализации этих прав</li> </ul> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> 30 мая 2025 года административная ответственность за нарушения законодательства о персональных данных существенно усилена. Поэтому содержание локальных документов имеет не формальное, а практическое значение. Неточности в политике обработки персональных данных могут стать одним из факторов, который будет оцениваться при проверке соблюдения требований законодательства. </p> <p style="text-align: justify;"> </p> <div class="card-body card-custom-md font-size-md my-2"> <p style="text-align: justify;"> <b>Чек-лист для самопроверки:</b> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <ul class="symbol-marker-list font-size-md"> <li>Определены ли отдельные цели обработки для каждой категории субъектов?</li> <li>Соответствуют ли правовые основания конкретным процессам обработки?</li> <li>Соответствует ли состав персональных данных фактически собираемой информации?</li> <li>Различаются ли сроки хранения в зависимости от категории данных?</li> <li>Определены ли получатели персональных данных для каждой категории субъектов?</li> <li>Описан ли порядок реализации прав субъектов персональных данных?</li> <li>Указаны ли контактные данные ответственного за организацию обработки персональных данных?</li> <li>Опубликована ли политика обработки персональных данных в случаях, предусмотренных законодательством?</li> </ul> </div> <br> <p> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Использование одной универсальной политики обработки персональных данных для всех категорий субъектов чаще всего не позволяет корректно отразить реальные процессы обработки. Гораздо эффективнее использовать единую структуру документа с отдельными разделами или приложениями для различных категорий субъектов. Такой подход позволяет соблюсти требования Федерального закона № 152‑ФЗ, упростить сопровождение документации и сделать политику понятной как для субъектов персональных данных, так и для проверяющих органов. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Если действующая политика содержит размытые цели обработки, единые сроки хранения и одинаковые основания для всех категорий субъектов, стоит провести её ревизию. Специалисты ГК «Форус» помогают провести аудит документов по персональным данным, выявить риски и привести локальные нормативные акты в соответствие с требованиями законодательства. </p> <p> </p>